Kebijakan Privasi

Kebijakan Privasi ini menjelaskan bagaimana PT Amanlo Simpul Artha ("Amanlo", "Kami") mengumpulkan, memproses, menyimpan, mengungkapkan, dan menghapus Data Pribadi Anda ketika Anda menggunakan platform Amanlo, baik melalui situs web amanlo.co.id, aplikasi seluler, maupun kanal layanan lain yang Kami sediakan (secara bersama-sama disebut "Platform").

Amanlo adalah penyelenggara layanan perantara transaksi (rekening bersama atau escrow) yang mempertemukan Pembeli dan Penjual dalam transaksi jual beli melalui kanal sosial dan kanal digital lainnya, serta menahan dana transaksi hingga kewajiban para pihak terpenuhi.

Kebijakan Privasi ini disusun berdasarkan peraturan perundang-undangan berikut:

• Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP);
• Undang-Undang No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana terakhir diubah dengan Undang-Undang No. 1 Tahun 2024 (UU ITE);
• Peraturan Pemerintah No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;
• Peraturan Pemerintah No. 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik;
• Peraturan Menteri Komunikasi dan Informatika No. 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat sebagaimana telah diubah; dan
• peraturan pelaksana lain yang berlaku dari waktu ke waktu.

Dengan membuat akun, mengakses, atau menggunakan Platform, Anda menyatakan telah membaca dan memahami Kebijakan Privasi ini. Untuk pemrosesan yang memerlukan persetujuan, persetujuan Anda diminta secara terpisah, eksplisit, dan dapat ditarik kembali sebagaimana diatur pada Bagian 12.

Sesuai Pasal 5 UU PDP, Kami menyampaikan identitas Kami sebagai Pengendali Data Pribadi:

Untuk sebagian aktivitas tertentu, misalnya pemrosesan pembayaran oleh penyedia jasa pembayaran berizin dan verifikasi identitas oleh penyelenggara e-KYC, pihak ketiga tersebut bertindak sebagai Pengendali Data Pribadi tersendiri atau sebagai Pengendali Data Pribadi Bersama sesuai peran masing-masing. Rincian pada Bagian 8.

Catatan penting: Amanlo memproses data keuangan pribadi, yang oleh UU PDP diklasifikasikan sebagai Data Pribadi Spesifik. Konsekuensinya, Kami menerapkan perlakuan yang lebih ketat atas data tersebut, termasuk persetujuan eksplisit yang terpisah dan pembatasan akses internal.

Data pendaftaran akun (Data Pribadi Umum) yang Anda berikan secara langsung:

• Nama lengkap sesuai identitas
• Nomor telepon seluler
• Alamat surel
• Kata sandi, disimpan dalam bentuk hash dan tidak pernah dalam bentuk teks terbaca
• Nama pengguna atau display name dan foto profil (opsional)
• Tanggal lahir

Data verifikasi identitas (Data Pribadi Umum dan Spesifik):

• Nomor Induk Kependudukan (NIK) dan data pada Kartu Tanda Penduduk
• Foto atau pindaian dokumen identitas
• Foto wajah (selfie) dan hasil pemeriksaan kecocokan wajah, yang merupakan data biometrik, yaitu Data Pribadi Spesifik
• Nomor Pokok Wajib Pajak, apabila diperlukan untuk kewajiban perpajakan
• Data badan usaha bagi Penjual berbadan hukum (akta, NIB, nama dan data pengurus)

Data keuangan (Data Pribadi Spesifik):

• Nomor rekening bank, nama pemilik rekening, dan nama bank
• Nomor akun uang elektronik atau dompet digital
• Riwayat pencairan dana, penarikan, dan pengembalian dana

Data transaksi:

• Deskripsi barang atau jasa yang ditransaksikan
• Nilai transaksi, biaya layanan, dan status penyelesaian
• Identitas pihak lawan transaksi Anda
• Alamat pengiriman, nama penerima, dan nomor telepon penerima
• Nomor resi dan data pelacakan pengiriman
• Nilai dan waktu penawaran pada fitur Tawar Terbaik

Data komunikasi dan sengketa:

• Isi percakapan dalam ruang obrolan Transaksi
• Bukti yang Anda unggah dalam proses sengketa, misalnya foto barang, tangkapan layar percakapan, bukti pengiriman, bukti pembayaran, dan rekaman video
• Korespondensi Anda dengan tim dukungan Amanlo, termasuk rekaman panggilan apabila ada dan telah diberitahukan sebelumnya

Data yang Kami kumpulkan secara otomatis:

• Alamat IP, jenis dan versi peramban, sistem operasi, dan pengenal perangkat
• Waktu akses, halaman yang dilihat, dan tindakan dalam Platform (log aktivitas)
• Data lokasi perkiraan berdasarkan alamat IP, bukan lokasi presisi GPS, kecuali Anda mengizinkannya secara terpisah
• Data dari kuki dan teknologi serupa (lihat Bagian 7)
• Sinyal risiko dan pencegahan penipuan, termasuk pola perangkat dan indikator akun ganda

Data yang Kami peroleh dari pihak ketiga:

• Hasil verifikasi identitas dari penyelenggara e-KYC dan/atau lembaga yang berwenang
• Status dan hasil pembayaran dari penyedia jasa pembayaran
• Status pengiriman dari mitra logistik
• Hasil penyaringan daftar sanksi dan daftar terduga terorisme, sepanjang diwajibkan peraturan
• Data yang Anda pilih untuk dibagikan melalui layanan masuk pihak ketiga, terbatas pada nama, surel, dan foto profil

Data pihak ketiga yang Anda berikan. Apabila Anda memberikan Data Pribadi milik orang lain kepada Kami, misalnya nama dan alamat penerima barang, atau tangkapan layar percakapan yang memuat data orang lain, Anda menyatakan bahwa Anda memiliki dasar yang sah untuk memberikan data tersebut dan telah memberitahukan pemilik data mengenai pemrosesan oleh Amanlo sesuai Kebijakan Privasi ini.

Data yang tidak Kami minta. Kami tidak meminta dan tidak memerlukan data kesehatan, data genetika, catatan kejahatan, pandangan politik, atau data lain yang tidak relevan dengan penyelenggaraan layanan. Mohon tidak mengunggah data tersebut ke dalam ruang obrolan atau berkas bukti sengketa. Apabila data demikian terkirim, Kami akan menghapusnya sesuai prosedur internal.

Sesuai Pasal 20 ayat (2) UU PDP, setiap pemrosesan yang Kami lakukan bertumpu pada salah satu dasar berikut:

Untuk dasar kepentingan sah lainnya, Kami melakukan penyeimbangan antara kepentingan Kami dan hak serta kebebasan Anda, dan catatan penyeimbangan tersebut dapat Anda mintakan melalui PPDP.

Konsekuensi apabila Anda tidak memberikan data. Data pada Bagian 4.1 sampai dengan 4.4 bersifat wajib untuk dapat menggunakan layanan perantara transaksi. Tanpa data tersebut, Kami tidak dapat memverifikasi identitas, menahan dana secara aman, atau memenuhi kewajiban hukum Kami, sehingga akun tidak dapat diaktifkan atau Transaksi tidak dapat diproses.

Kami memproses Data Pribadi Anda untuk tujuan yang spesifik dan terbatas berikut:

• Penyelenggaraan layanan inti: membuat akun, menautkan pihak dalam Transaksi, menahan dana, melepaskan dana kepada Penjual, dan mengembalikan dana kepada Pembeli.
• Verifikasi identitas dan kelayakan: memastikan bahwa Pengguna adalah orang yang sebenarnya, cakap hukum, dan berusia sekurang-kurangnya 18 tahun.
• Pemrosesan pembayaran: meneruskan data yang diperlukan kepada penyedia jasa pembayaran berizin untuk penerimaan dan pencairan dana.
• Fitur Tawar Terbaik: menerima, menyimpan, dan menyampaikan penawaran tertutup kepada pihak yang berhak, tanpa menampilkan nilai penawaran peserta lain.
• Penyelesaian sengketa: memeriksa bukti, memfasilitasi mediasi, dan mengambil keputusan atas dana yang ditahan.
• Keamanan dan pencegahan penipuan: mendeteksi akun palsu, transaksi mencurigakan, pengambilalihan akun, dan penyalahgunaan lain.
• Komunikasi layanan: mengirim pemberitahuan status transaksi, tagihan, peringatan keamanan, dan perubahan ketentuan. Komunikasi jenis ini melekat pada layanan dan tidak dapat dinonaktifkan selama Anda memiliki akun aktif.
• Dukungan pelanggan: menanggapi pertanyaan, keluhan, dan permintaan Anda.
• Kepatuhan hukum: memenuhi kewajiban perpajakan, pelaporan, penyimpanan dokumen, serta menanggapi permintaan resmi dari otoritas yang berwenang.
• Peningkatan layanan: menganalisis pola penggunaan dalam bentuk agregat dan/atau anonim untuk memperbaiki fitur dan pengalaman pengguna.
• Pemasaran: mengirim informasi promosi, apabila dan sepanjang Anda telah memberikan persetujuan.

Kami tidak akan memproses Data Pribadi Anda untuk tujuan yang berbeda secara material dari tujuan di atas tanpa terlebih dahulu memberitahukan dan, apabila diperlukan, memperoleh persetujuan baru dari Anda.

Kami menggunakan kuki dan teknologi serupa dengan kategori sebagai berikut:

Anda dapat mengelola persetujuan kuki melalui banner persetujuan pada kunjungan pertama dan melalui menu Pengaturan Privasi kapan saja. Penarikan persetujuan tidak memengaruhi keabsahan pemrosesan yang telah dilakukan sebelumnya.

Sebagian infrastruktur pemrosesan Kami, antara lain layanan awan, basis data, dan pengiriman notifikasi, berlokasi di luar wilayah Republik Indonesia, khususnya di Singapura. Karena itu, Data Pribadi Anda dapat ditransfer, disimpan, dan diproses di luar Indonesia.

Sesuai Pasal 56 UU PDP, transfer semacam itu Kami lakukan dengan memastikan sekurang-kurangnya salah satu dari:

• Tingkat pelindungan yang setara atau lebih tinggi di negara tujuan; atau
• Pelindungan yang memadai dan mengikat, melalui klausul kontraktual perlindungan data, komitmen keamanan, dan kewajiban audit dalam perjanjian dengan penyedia layanan; atau
• Persetujuan Anda, dalam hal kedua syarat di atas tidak terpenuhi.

Kami juga tetap memenuhi kewajiban Kami sebagai Penyelenggara Sistem Elektronik Lingkup Privat, termasuk menjamin aksesibilitas data untuk kepentingan pengawasan dan penegakan hukum sesuai Peraturan Pemerintah No. 71 Tahun 2019. Anda dapat meminta informasi mengenai negara tujuan transfer dan mekanisme pengamanan yang diterapkan melalui support@amanlo.co.id.

Kami menyimpan Data Pribadi hanya selama diperlukan untuk tujuan pemrosesan, atau selama diwajibkan peraturan perundang-undangan, mana yang lebih lama.

Setelah jangka waktu berakhir, Data Pribadi Kami hapus atau Kami musnahkan sesuai Pasal 43 dan 44 UU PDP, atau Kami anonimkan secara permanen sehingga tidak lagi dapat dikaitkan dengan Anda. Data yang telah dianonimkan dapat Kami simpan untuk keperluan statistik dan riset.

Penghapusan akun tidak menghapus seluruh data. Data yang wajib Kami simpan berdasarkan peraturan, khususnya catatan keuangan dan data KYC, akan tetap Kami simpan sampai jangka waktu wajib berakhir, dengan akses yang dibatasi hanya untuk tujuan kepatuhan.

Sesuai Pasal 35, 39, dan 40 UU PDP, Kami menerapkan langkah teknis berikut:

• Enkripsi data dalam pengiriman menggunakan TLS 1.2 atau lebih tinggi, dan enkripsi penyimpanan pada tingkat basis data oleh penyedia infrastruktur
• Penyimpanan kata sandi menggunakan fungsi hash satu arah dengan salt, sehingga kata sandi tidak pernah tersimpan dalam bentuk terbaca
• Kontrol akses pada tingkat baris basis data (row level security) sehingga setiap Pengguna hanya dapat mengakses datanya sendiri
• Pemisahan hak akses antara aplikasi publik dan operasi internal, dengan prinsip hak akses seminimal mungkin
• Dokumen identitas dan foto wajah disimpan pada penyimpanan tertutup yang tidak dapat diakses publik, dan hanya dapat dibuka melalui tautan bertanda waktu yang berlaku singkat
• Verifikasi tanda tangan pada setiap notifikasi masuk dari mitra pembayaran dan logistik menggunakan perbandingan waktu tetap
• Pembatasan laju permintaan untuk mencegah percobaan masuk paksa dan penyalahgunaan antarmuka
• Kredensial dan kunci mitra tidak pernah disertakan pada aplikasi sisi peramban, dan dipisahkan antara lingkungan produksi dan pengembangan
• Pemeriksaan keamanan otomatis pada setiap perubahan kode sebelum diterapkan ke produksi

Langkah organisasi yang Kami terapkan:

• Perjanjian kerahasiaan bagi seluruh personel dan mitra
• Tinjauan keamanan berkala atas kode dan konfigurasi, dengan temuan yang didokumentasikan dan ditindaklanjuti
• Prosedur tanggap insiden yang terdokumentasi
• Pembatasan jumlah personel yang dapat mengakses Data Pribadi Spesifik

Kami terus mengembangkan langkah pengamanan tambahan seiring pertumbuhan layanan, antara lain autentikasi dua faktor bagi Pengguna, pencatatan jejak audit yang tidak dapat diubah, dan enkripsi tambahan pada tingkat kolom untuk Data Pribadi Spesifik. Kami tidak menyatakan langkah tersebut telah berjalan sebelum benar-benar diterapkan.

Meskipun demikian, tidak ada sistem yang sepenuhnya kebal. Anda juga bertanggung jawab menjaga kerahasiaan kata sandi dan kode verifikasi, tidak membagikan kode OTP kepada siapa pun termasuk kepada pihak yang mengaku sebagai staf Amanlo, dan segera melapor apabila mencurigai akses tidak sah.

Kami menggunakan sistem otomatis dalam hal berikut:

Kami tidak mengambil keputusan yang menimbulkan akibat hukum atau berdampak signifikan terhadap Anda semata-mata berdasarkan pemrosesan otomatis tanpa tinjauan manusia. Anda berhak mengajukan keberatan atas hasil sistem otomatis melalui support@amanlo.co.id dan memperoleh penjelasan mengenai logika umum yang digunakan.

Kami tidak menggunakan data transaksi Anda untuk menyusun profil kredit, tidak menjualnya kepada biro kredit, dan tidak menggunakannya untuk penargetan iklan pihak ketiga.

Platform Amanlo hanya diperuntukkan bagi orang yang telah berusia sekurang-kurangnya 18 tahun dan cakap melakukan perbuatan hukum. Kami tidak dengan sengaja mengumpulkan Data Pribadi anak.

Apabila Kami mengetahui bahwa Data Pribadi anak telah terkumpul tanpa persetujuan orang tua atau wali sebagaimana disyaratkan Pasal 25 UU PDP, Kami akan menonaktifkan akun dan menghapus data tersebut, kecuali penyimpanan diwajibkan peraturan. Apabila Anda mengetahui hal demikian, mohon laporkan ke support@amanlo.co.id.

Sesuai Pasal 26 UU PDP, pemrosesan Data Pribadi penyandang disabilitas dilakukan berdasarkan persetujuan yang bersangkutan atau walinya, dengan komunikasi yang disampaikan menggunakan sarana yang dapat diakses dan dipahami. Anda dapat menghubungi Kami untuk meminta format komunikasi alternatif.

Sesuai Pasal 46 UU PDP, dalam hal terjadi kegagalan pelindungan Data Pribadi, Kami akan menyampaikan pemberitahuan tertulis paling lambat 3x24 jam sejak diketahuinya kegagalan tersebut, kepada Anda sebagai Subjek Data Pribadi yang terdampak, dan kepada lembaga yang berwenang di bidang pelindungan Data Pribadi. Sampai dengan lembaga tersebut beroperasi penuh, pemberitahuan Kami sampaikan kepada Kementerian Komunikasi dan Digital sesuai ketentuan yang berlaku.

Pemberitahuan tersebut sekurang-kurangnya memuat Data Pribadi yang terungkap, kapan dan bagaimana kegagalan terjadi, serta upaya penanganan dan pemulihan yang Kami lakukan.

Dalam hal kegagalan mengganggu pelayanan publik atau berdampak serius terhadap kepentingan masyarakat, Kami juga akan mengumumkannya kepada publik.

Platform dapat memuat tautan ke situs atau layanan pihak ketiga, termasuk kanal media sosial tempat Transaksi berasal. Kebijakan Privasi ini tidak berlaku bagi pihak ketiga tersebut. Kami menyarankan Anda membaca kebijakan privasi masing-masing pihak sebelum memberikan data.

Kami tidak bertanggung jawab atas praktik pemrosesan data yang dilakukan Penjual atau Pembeli di luar Platform, termasuk data yang Anda bagikan secara langsung kepada mereka melalui kanal komunikasi pribadi.

Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu. Untuk perubahan yang bersifat material, misalnya penambahan tujuan pemrosesan baru, perubahan kategori penerima data, atau perubahan yurisdiksi transfer, Kami akan memberitahukan Anda melalui surel dan/atau notifikasi dalam aplikasi sekurang-kurangnya 14 hari kalender sebelum berlaku, dan apabila perubahan tersebut memerlukan persetujuan baru, meminta persetujuan Anda secara terpisah.

Versi terkini selalu tersedia di amanlo.co.id/kebijakan-privasi dengan penanda tanggal berlaku. Riwayat versi sebelumnya Kami arsipkan dan dapat diminta melalui PPDP.

Langkah 1, hubungi Amanlo:

Kami akan menanggapi keluhan terkait pelindungan data paling lambat 14 hari kalender sejak diterima.

Langkah 2, lembaga berwenang. Apabila Anda tidak puas dengan tanggapan Kami, Anda berhak menyampaikan pengaduan kepada lembaga yang berwenang di bidang pelindungan Data Pribadi. Sampai lembaga tersebut beroperasi penuh, pengaduan dapat disampaikan kepada Kementerian Komunikasi dan Digital Republik Indonesia melalui kanal pengaduan resmi.

Langkah 3, penyelesaian sengketa. Sesuai Pasal 39 UU PDP, penyelesaian sengketa pelindungan Data Pribadi dapat ditempuh melalui arbitrase, pengadilan, atau lembaga penyelesaian sengketa alternatif lainnya sesuai ketentuan peraturan perundang-undangan. Anda juga berhak menuntut ganti rugi sesuai Pasal 12 UU PDP.

Kebijakan Privasi ini dibuat dalam Bahasa Indonesia. Apabila Kami menyediakan terjemahan dalam bahasa lain dan terdapat perbedaan penafsiran, versi Bahasa Indonesia yang berlaku.